Il GDPR (General Data Protection Regulation) ha stabilito una serie di obblighi per le PMI (Piccole e Medie Imprese) in materia di cyber security al fine di proteggere i dati personali dei cittadini europei. Ecco alcuni degli obblighi principali:
I 7 obblighi essenziali
-
Protezione dei dati personali: Le PMI devono implementare misure di sicurezza appropriate per proteggere i dati personali trattati. Ciò include l'adozione di protocolli di sicurezza, l'accesso limitato ai dati solo al personale autorizzato e la cifratura dei dati sensibili.
-
Gestione degli accessi: È necessario controllare gli accessi ai dati personali, assicurandosi che solo il personale autorizzato abbia la possibilità di accedere a tali informazioni. L'uso di password complesse, l'autenticazione a due fattori e la gestione degli account utente sono pratiche consigliate per garantire una corretta gestione degli accessi.
-
Consapevolezza e formazione: Le PMI devono fornire formazione e sensibilizzazione ai dipendenti sulle norme di protezione dei dati e sulle "best practice" di sicurezza informatica. Ciò contribuirà a ridurre il rischio di incidenti legati alla sicurezza dei dati e ad aumentare la consapevolezza dei dipendenti sui loro ruoli e responsabilità.
-
Gestione degli incidenti di sicurezza: Le PMI devono essere pronte a gestire gli incidenti di sicurezza dei dati in modo tempestivo ed efficace. Ciò implica la creazione di un piano di risposta agli incidenti, che includa le procedure da seguire, i responsabili da contattare e le azioni da intraprendere per mitigare gli effetti negativi.
-
Valutazione della sicurezza dei dati: È necessario condurre regolarmente valutazioni della sicurezza dei dati per identificare eventuali vulnerabilità o rischi. Ciò può essere fatto attraverso test di penetrazione, revisioni dei sistemi e delle politiche di sicurezza, nonché l'implementazione di controlli aggiuntivi, se necessario.
-
Privacy by Design e Privacy by Default: Le PMI devono integrare la privacy nella progettazione dei loro prodotti e servizi (Privacy by Design) e adottare impostazioni di protezione dei dati predefinite adeguate (Privacy by Default). Ciò implica considerare la sicurezza dei dati sin dalle prime fasi di sviluppo e garantire che le impostazioni predefinite siano orientate alla protezione dei dati.
-
Notifica delle violazioni dei dati: In caso di violazione dei dati personali, le PMI devono notificarla all'autorità di controllo competente entro 72 ore dalla scoperta dell'incidente, a meno che la violazione non sia improbabile che presenti un rischio per i diritti e le libertà delle persone interessate.
Link utili
